Certificados e Infraestructura de Llave P

1
Certificados e Infraestructura de Llave Pública
Francisco Rodríguez-Henríquez CINVESTAV-IPN Depto.
de Ingeniería Eléctrica Sección de Computación
2
Conceptos Básicos
3
Autenticación Definición

• La Autenticación es un proceso que tiene como
  finalidad verificar la información referente a un
  determinado objeto, por ejemplo
• La identidad del remitente (ya sea un dispositivo
  electrónico y/o un usuario).
• La integridad de la información enviada.
• El momento de envío de la información.
• La validez de la firma.
• .

4
Autenticación Mecanismos

• La autenticación asegura que la identidad de los
  participantes sea verdadera. Se pueden evaluar
  tres aspectos para autenticar usuarios
• verificar algo que el usuario tiene
• poner a prueba al usuario sobre algo que sabe,
  esto es, pedirle una contraseña y,
• verificar algo que el usuario es, por ejemplo,
  analizar sus huellas dactilares o su retina.

5
Confidencialidad con llave pública
6
Funciones Hash

• Producen huellas digitales de longitud fija para
  documentos de longitud arbitraria. De esta manera
  producen información útil para detectar
  modificaciones maliciosas
• Traducen contraseñas a salidas de longitud fija.
• Pueden ser utilizadas para producir números
  aleatorios
• Proveen autenticación básica a través de la
  funcionalidad MAC Message Authentication Code
• Utilizadas como bloques básicas para firmas
  digitales

7
Esquema básico de una función hash
8
Obtención de llave privada
9
Generación de números aleatorios con funciones
hash
10
Función hashLlave MAC
11
Autenticación básica con firmas digitales
12
Infraestructura de Llave Pública (PKI)
13
Autenticación a través de una tercera entidad
14
Para qué y por qué utilizar PKI?
15
Problemas con algoritmos asimétricos

• Los problemas que surgen del uso de algoritmos
  asimétricos sin el respaldo de infraestructuras
  adicionales pueden dividirse en cuatro áreas
  Schneier03
• Autenticidad de llave.
• Revocación de llaves.
• No repudio
• Aplicación de Políticas

16
Autenticidad de Llave

1. Autenticidad de llave. El objetivo primario de la
   autenticación de la llave pública de una entidad
   es fundamentalmente evitar ataques como intruso
   de en medio y usurpación de identidad

17
Revocación de Llaves

• Revocación de llaves. C ha robado la llave
  privada de la computadora de A. Ergo,
• C es capaz de usarla para leer todos los mensajes
  que fueron cifrados con la llave pública de A
• C puede generar firmas digitales a nombre de A.
• La única forma que tiene A para protegerse es
  generar un nuevo par de llaves y no continuar
  utilizando las anteriores. Problema de diseño
• Cómo hacer saber a las personas que envían
  correo electrónico a A, que su par de llaves han
  sido revocado?

18
No Repudio

• No Repudio. Uno de los propósitos de una firma
  digital es asegurar el no-repudio. Si A mantiene
  su llave privada en secreto, significa que nadie
  más puede generar una firma digital de un
  documento más que A mismo. Sin embargo, A puede
  no honrar su firma digital afirmando simplemente
  que la llave con la cual se generó la firma no es
  la suya.
• Problema de diseño
• Cómo probar que la llave privada con la que se
  generó la firma digital realmente pertenece a A?

19
Aplicación de Políticas

• Aplicación de Políticas. Suponga que una
  compañía desea asignar un par de llaves a cada
  empleado, de manera tal que cada uno de ellos
  pueda cifrar y firmar información, de acuerdo a
  la siguiente política
• Cada empleado debe de tener únicamente un par de
  llaves.
• Todas las llaves públicas deben de estar
  registradas de manera centralizada.
• Las llaves utilizadas deben de usar un tamaño de
  longitud de llave adecuada.
• Cada par de llave debe ser cambiado después de un
  determinado período de validez.
• Si un empleado deja de laborar en la compañía, su
  llave pública debe de ser revocada
  automáticamente.
• Problema de diseño
• Cómo implementar tales políticas sin la ayuda de
  sistemas externos a la Criptografía de llave
  pública?

20
Infraestructura de Llave Pública (PKI)
La Infraestructura de Llave Pública (PKI) es una
combinación de software, tecnologías de cifrado,
y servicios que permiten proteger la seguridad de
las transacciones de información en un sistema
distribuido. PKI integra o al menos intenta !
certificados digitales, criptografía de llave
pública y autoridades de certificación en una
arquitectura de seguridad unificada.
21
Componentes PKI
22
Infraestructura de Llave Pública (PKI) (1/2)
Entidad final. Término genérico para denotar a
los usuarios finales o cualquier entidad que
pueda ser identificada (personas, servidores,
compañías, etc.) mediante un certificado digital
expedido por una Autoridad Certificadora. Autorida
d Certificadora (AC). La AC es la entidad que
expide los certificados digitales, así como la
lista de revocacion (CRL). Adicionalmente puede
soportar funciones administrativas, aunque
generalmente éstas son delegadas a una o varias
Autoridades de Registro.
23
Infraestructura de Llave Pública (PKI) (2/2)
Autoridad de Registro (AR). Una AR es componente
opcional que puede asumir funciones
administrativas de la CA. Repositorio. El
repositorio es el término genérico utilizado para
denotar cualquier método para almacenamiento de
certificados y listas de revocación (CRLs) que
permita el acceso por parte de las entidades
finales a dichos documentos. Emisor CRL. El
emisor CRL es un componente opcional el cual
puede ser utilizado por una AC para delegar las
tareas de publicación de las listas de revocación.
24
Certificados y Autoridades certificadoras
25
Autoridad Certificadora
Una Autoridad Certificadora, es el componente
fundamental de la infraestructura de llave
pública. Es una combinación de hardware,
software, y personas que conforman una
arquitectura de seguridad. La AC es conocida por
sus dos atributos más importantes su llave
pública y su nombre o identificador. La AC expide
certificados de llave pública para cada entidad,
confirmando plenamente la identidad del
suscriptor con sus respectivos documentos de
identidad.
26
Autoridad Certificadora

• Una Autoridad Certificadora desempeña cuatro
  funciones básicas en PKI
• Expedición de certificados digitales.
• Expedición de listas de revocación.
• Publicación de sus certificados digitales y
  correspondiente lista de revocación.
• Almacenamiento del estado de los certificados
  expirados que ha expedido.

27
La arquitectura de PKI es jerárquica
28
Trayectorias de Certificados

• El verificador debe conocer la llave pública de
  la AC raíz.
• Cada llave pública es resuelta una a una
• Todas las ACs en la trayectoria deben ser de toda
  la confianza dle verificador

29
Arquitecturas PKI
30
Certificados Puente
31
Certificado Digital Definición

• Un Certificado Digital es un documento que
  vincula una llave pública con una entidad final y
  que es firmado por una autoridad certificadora
  para demostrar su validez e integridad.

32
Certificados
Certificado
Información de identificación del sujeto
Llave pública del sujeto
Llave privada de la Autoridad de Certificación
Nombre de la Autoridad Certificadora
Generar Firma digital
Número de serie
Firma digital de la Autoridad Certificadora
33
Certificado Digital
Un certificado digital incluye la llave pública,
información acerca de la identidad del suscriptor
que posee la llave privada, un período de validez
del certificado, y la firma digital de la propia
autoridad certificadora. El certificado puede
contener otros campos como por ejemplo
información adicional sobre la autoridad
certificadora o información acerca de usos
recomendados para la llave pública.
34
Ciclo de vida un certificado digital
Generar llaves
35
Certificados Comerciales

• Varias compañías comerciales producen AC Nortel,
  GTE y VeriSign entre otras. La más dominante en
  el mercado es esta última.
• Más de 35K sitios comerciales WEB utilizaban
  certificados Verisign en los noventas.
• Más de un millón de certificados han sido
  expedidos a navegadores Netscape y de Microsoft.
• El certificado clase 1 De Verisign cuesta 14.95
  USD al año. Existe una edición de 60 días de
  prueba

36
Certificado X.509
37
Lista de Revocación de Certificados
38
Certificado TBS
Fig. 1. Entorno de una Autoridad Certificadora
39
Generación de certificado X.509
Fig. 1. Entorno de una Autoridad Certificadora
40
Separación de componentes de un certificado X.509
Fig. 1. Entorno de una Autoridad Certificadora
41
Firma de Certificado
Fig. 1. Entorno de una Autoridad Certificadora
42
Verificación de certificado digital
Fig. 1. Entorno de una Autoridad Certificadora